# BCM-03 Pläne zur betrieblichen Kontinuität

- Bereich: BCM – Kontinuität des Geschäftsbetriebs und Notfallmanagement
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/bcm-03/

**Ergänzende Information:**

Obwohl unterschiedliche Partitionen kein gemeinsames IAM (und damit kein gemeinsames Personal für BCM) nutzen, können Pläne zur betrieblichen Kontinuität zwischen verschiedenen Partitionen geteilt werden, da dieselben Cloud-Dienste bereitgestellt werden.

## Basiskriterium

### BCM-03.01B

Auf der Grundlage der Ergebnisse der Business Impact Analyse werden Pläne zur betrieblichen Kontinuität in konsistenter Weise und gemäß den anwendbaren Richtlinien und Verfahren dokumentiert.

Pläne zur betrieblichen Kontinuität berücksichtigen die folgenden Aspekte:

1. Definierter Zweck und Umfang unter Berücksichtigung der relevanten Abhängigkeiten;
2. Zugänglichkeit und Verständlichkeit der Pläne für Personen, die diese Pläne ausführen sollen;
3. Eigentümerschaft durch mindestens eine benannte Person, die für die Überprüfung, Aktualisierung und Genehmigung zuständig ist;
4. Definierte Kommunikationskanäle, Rollen und Verantwortlichkeiten einschließlich Benachrichtigung des Cloud-Kunden;
5. Wiederherstellungsverfahren, manuelle Übergangslösungen und Referenzinformationen (unter Berücksichtigung der Priorisierung bei der Wiederherstellung von Cloud-Hardwareobjekten und Diensten sowie der Abstimmung mit Cloud-Kunden);
6. Methoden zur Inkraftsetzung der Pläne;
7. Kontinuierlicher Verbesserungsprozess der Pläne;
8. Konsistenz über alle Standorte, Zonen, Regionen und Partitionen hinweg; und
9. Schnittstellen zum Security Incident Management.

### BCM-03.02B

Die Pläne zur betrieblichen Kontinuität werden in regelmäßigen Abständen, mindestens einmal jährlich oder nach wesentlichen organisatorischen oder umgebungsbedingten Veränderungen, überprüft.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass bei der Planung der betrieblichen Kontinuität und des Geschäftsplans die Ergebnisse ihrer Business Impact Analyse hinreichend berücksichtigt werden, um für die Auswirkungen eines Ausfalls des Cloud-Dienstes bzw. des Cloud-Anbieters vorzusorgen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Verfügbarkeit des Cloud-Dienstes, seine Wiederherstellungszeit gemäß den Plänen zur betrieblichen Kontinuität und der Datenverlust des Cloud-Dienstes mit ihren eigenen Verfügbarkeitsanforderungen und tolerierbarem Datenverlust vereinbar sind.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Restricted scope to business continuity plans.

Removed requirement that business continuity plans are based on established standards. Instead they are required to be documented in a consistent manner, and in accordance with applicable policies and instructions.

Extended aspects to covered by the business continuity plans by consistency over all locations, zones, regions and partitions.

Added requirement for the review of the business continuity plans.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.